Referência das detecções

Uma detecção é um sinal que o app protegido confere em runtime. Para cada uma você escolhe uma resposta em runtime:.

Motor em prévia

Estas são as detecções que a proteção foi desenhada para fazer. O motor está em prévia e nenhum pacote protegido é produzido ainda. Veja limites e garantias.

As nove detecções

Chave	Procura	Falsos positivos típicos	Combina bem com
root	Um aparelho Android com root ou um iOS com jailbreak.	Usuários avançados legítimos; ROMs customizadas.	warn primeiro; block só onde há movimentação de dinheiro.
emulator	O app rodando em um emulador ou aparelho virtual.	O seu próprio QA em emuladores; fazendas de aparelhos na nuvem.	monitor no staging, mais rígido no production.
debugger	Um debugger conectado ao processo.	Desenvolvedores; algumas ferramentas de relatório de falhas.	warn e depois block.
hooking	Frameworks de instrumentação (Frida, Xposed) e hooking de funções.	Raros; algumas ferramentas de acessibilidade ou de automação.	block ou terminate; é um sinal forte.
tamper	Um pacote modificado ou uma assinatura quebrada.	Builds internos reassinados; algum reempacotamento feito pelas lojas.	block ou terminate.
overlay	Outra janela desenhada por cima de uma tela sensível.	Chat heads, filtros de tela, algumas ferramentas de acessibilidade.	block_sensitive_screens.
a11y	Serviços de acessibilidade abusados para ler ou controlar a tela.	Tecnologia assistiva de verdade (não puna quem precisa dela).	warn mais revisão; block_sensitive_screens com cuidado.
capture	Captura ou gravação de tela.	Usuários que gravam a tela para suporte ou por acessibilidade.	block_sensitive_screens.
remote_access	Sessões de controle remoto ou de compartilhamento de tela.	Suporte remoto legítimo.	block_sensitive_screens.

As quatro últimas (overlay, a11y, capture, remote_access) formam o conjunto Pix Shield, para fluxos de pagamento. O padrão delas em moatgator:pix-shield é block_sensitive_screens. As cinco primeiras estão em todos os planos; o conjunto Pix Shield começa no plano Scale (veja o que o seu plano permite).

Limites honestos

• Nenhuma detecção é perfeita. Atacantes se adaptam. A Moatgator combina vários sinais por detecção; um atacante determinado, com controle total de um aparelho, às vezes consegue contornar uma verificação.
• Uma detecção é um sinal, não prova de fraude. Use-a junto com o seu próprio motor antifraude, não no lugar dele.
• Acessibilidade é um caso especial. Bloquear serviços de acessibilidade pode deixar de fora quem depende deles. Prefira warn ou o bloqueio no nível da tela e dê a essas pessoas um caminho para continuar.

Libere nesta ordem

1. Tudo em monitor. Publique uma versão. Leia os eventos por alguns dias.
2. Passe uma detecção para warn. Observe a taxa de sessões sinalizadas e os chamados de suporte.
3. Passe as detecções de alta confiança (hooking, tamper) para block.
4. Use terminate só onde encerrar a sessão for aceitável.
5. Afrouxe o staging e mantenha o production rígido, usando o env.

Como tudo o que não está listado fica em monitor, adotar uma versão mais nova da Moatgator nunca começa a bloquear usuários por conta própria.

O que o seu backend vê

Com o Attest ligado, os sinais são reunidos em um único veredito assinado que o seu backend consegue verificar. Se nenhum veredito chegar (offline, rede bloqueada), você decide se uma ação sensível falha aberta ou fechada.